Timestamping Server - Release Version 1.3.0

08.11.2022

Das letzte Release meines Timestamping Server liegt zugegebenermaßen bereits einige Zeit zurück. Daher wurde es Zeit, wieder einige nützliche Features hinzuzufügen

rfc3161timestampingserver Logo Das Projekt wurde um die folgenden Aspekte erweitert:

Bisher musste man zure Validierung der Zertifikatskette die Zertifikate der Kette als gesonderte Datei vom Server herunterladen. Das spart zwar Bandbreite, ist aber unter gewissen Szenarien unschön bzw. ungeeignet.

Das erste Szenario, in dem dieses Verhalten unschön ist, umfasst die Benutzung diverser Tools, die nicht darauf vorbereitet sind, die Zertifikatskette gesondert herunterzuladen und sich nach der Erzeugung des Timestamps dann beschweren, dass der Timestamp nicht validiert wereen kann. Javas JarSigner ist dafür ein prominentes Beispiel.

Ein weiteres Szenario - das mit diesem Release aber nicht abschließend addressiert wurde - umfasst das Erstellen von kryptographisch abgesicherten Zeitstempekn zur Archivierung. Dabei ist es wichtig, alle zur Validierung des Zeitstempels benötigten Informationen im Zeitstempel selbst zu integrieren. Das umfasst zum einen alle Zertifikate der Kette zum Zeitpunkt der Erstellung des Zeitstempels und zum anderen alle für diese Zertifikate zu diesem Zeitpunkt verfügbaren CRLs (bzw. OCSP-Responses).

Ich habe mich dafür entschieden, die Software so behutsam wie möglich zu erweitern: wird das Docker-Image der Version 1.3.0 gebaut und gestartet, ändert sich am Verhalten der Lösung zunächst einmal nichts. Erst wenn man die neue Konfigurationsoption namens de.elbosso.tools.rfc3161timestampingserver.App.includeFullChain auf den Wert true setzt (durch Setzen einer entsprechenden Umgebungsvariablen), ändert sich das Verhalten dahingehend, dass nun mit jedem Request, der die Übertragung des Signer-Zertifikats verlangt dieses Signer-Zertifikat einschließlich aller Zertifikate in der zugehörigen Chain in der Response eingebettet werden.

Derzeit ist diese Konfiguration nur per Server verfügbar. Es existieren erste Ideen, mehrere Endpunkte anzubieten, über die Clients steuern können, ob die Zertifikaste der Kette in der Response enthalten sein sollen. eine entsprechende Diskussion auf Github ist bereits angelegt und freigeschaltet.

Wer noch abenteuerlustiger ist und die aktuelle SNAPSHOT-Version ausprobieren möchte: In dieser existiert bereits eine neue Option namens de.elbosso.tools.rfc3161timestampingserver.App.includeCRLs, die - falls der Wert auf true gesetzt ist in die Response sämtliche CRLs der in der Response enthaltenen Zertifikate einbettet. Das ist der noch benötigte große Schritt auf dem Weg zu Archivzeitstempeln.

Artikel, die hierher verlinken

Git als beweisfestes Langzeitarchiv(?)

11.01.2023

Ich habe hier verschiedentlich über das Thema Langzeitarchivierung berichtet - unter anderem habe ich meinen Timestamping-Server nach RFC3161 so erweitert, dass er entsprechende Archivzeitstempel erstellen kann. Und so stolperte ich zwangsweise über Parallelen zwischen Git und Archivsystemen

Struktur von PKIs re: Archivzeitstempel

12.11.2022

Hier nochmal eine Beleuchtung der Organisation einer Public Key Infrastructure (PKI) von einem (von mir) bisher nicht betrachteten Blickwinkel

Alle Artikel rss Wochenübersicht Monatsübersicht Github Repositories Gitlab Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Testdatengeneratoren als Microservices mit Docker

    02.11.2019

    Ich habe die verschiedenen Testdatengeneratoren mittels Microservices über HTTP zugänglich gemacht, um sie unabhängig von der verwendeten Programmiersprache und/ oder Version (Java 11) verwenden zu können.

    Weiterlesen...

Neueste Artikel

  • Gif-Animationen in Java

    Nachdem ich neulich auf einen sehr interessanten Link gestoßen war, habe ich mich dafür interessiert, ob es möglich wäre - und falls ja: wie einfach - GIF-Animationen aus Java heraus zu erzeugen - und zwar mit Bordmitelln und ohne Zuhilfenahme externer Biblioheken

    Weiterlesen...
  • LinkCollections 2024 VIII

    Nach der letzten losen Zusammenstellung (für mich) interessanter Links aus den Tiefen des Internet von 2024 folgt hier gleich die nächste:

    Weiterlesen...
  • Generator für syntaktisch korrekten Python Code

    Nachdem es nun bereits seit einiger Zeit ein wenig stiller um meine diversen Generatoren für Testdaten geworden ist, habe ich über den Feiertag in Thüringen einen neuen begonnen.

    Weiterlesen...

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muß damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen GitHub-Repositories findet man hier - meine öffentlichen GitLab-Repositories finden sich dagegen hier.